מתקפת "נהג האוטובוס": מכשיר זעיר משתלט על בואינג 737

ניצול אפיק האוויוניקה ARINC 429

לאחר החיבור, המכשיר חודר לאפיק הנתונים הלא מוצפן ARINC 429, אפיק טורי בעל מאסטר יחיד המוביל את כל התקשורת בין מחשב ניהול הטיסה (FMC) לצג הטייס (MCDU) . ל-ARINC 429 אין אימות או הצפנה מובנים. נקודת התורפה המרכזית היא שתכנונו החשמלי משתמש בנגדי תיאום עכבה המאפשרים למכשיר זדוני להתגבר חשמלית על אותות חוקיים על ידי הזרמת זרם חזק יותר לקווי האפיק מאשר המשדר המורשה . החוקרים כינו טכניקת דיכוי אותות זו "מתקפת נהג האוטובוס" .

מה המכשיר יכול לשנות

לאחר שהשתלט על האפיק, המכשיר יכול להזריק פקודות מזויפות ולבצע:

• שינוי נקודות ציון והסטת המטוס מהנתיב המתוכנת
• שינוי חישובי משקל ההמראה, המשפיע ישירות על מהירויות ההמראה (V-speeds)
• שינוי ערכי טמפרטורת האוויר החיצונית וכמות הדלק, מה שמשנה חישובי ביצועים קריטיים

התגנבות: צג הטייס המזויף

במקביל, המכשיר שולח נתונים מזויפים לצגים בתא הטייס כך שהטייס רואה את תוכנית הטיסה המקורית ללא שינוי — ובכך מסתיר למעשה את כל השינויים . הטייס לא יראה שום אזהרה או חוסר התאמה על מסך ה-MCDU, מה שהופך את המתקפה לקשה ביותר לזיהוי מתא הטייס .

שליטה מרחוק ב-Wi-Fi במהלך הטיסה

המכשיר כולל משדר Wi-Fi, המאפשר לתוקף לשלוח פקודות באופן אלחוטי בזמן אמת או אפילו לפרוס עדכון תוכנה זדוני בזמן שהמטוס באוויר . המשמעות היא שניתן לשלוט במכשיר באופן דינמי מרגע ההתקנה ולאורך כל משך הטיסה.

תגובת בואינג

צוות המחקר חשף לראשונה את הפרצה בפני בואינג עוד ב2020, ולאחר מכן עבד בשיתוף פעולה הדוק עם היצרן כדי לבדוק ולאמת את המתקפה במעבדה של בואינג עצמה .

בתגובה, בואינג פרסמה הצהרה שהמעיטה בסיכון המעשי: "המומחים הטכניים שלנו בטוחים ששכבות ההגנה הקיימות במטוס, לרבות בתכנון המערכת ובסבימת ההפעלה, מספקות הפחתה מספקת כדי להגביל משמעותית את ההיתכנות והסיכון של מתקפות בעולם האמיתי" . בואינג גם מסרה כי ביצעה סקירה משלה של תכנוני הרכיבים הרלוונטיים, ההתקנות והממשקים בתגובה לממצאי החוקרים .

המלצות לתיקון

החוקרים הציעו שורה של אמצעי הגנה לטיפול בפרצה, כולל :

• חסימה פיזית של הגישה ליציאת התחזוקה החיצונית, למשל באמצעות פנלים ניתנים לנעילה או חותמות נגד חבלה
• שיפור הבידוד החשמלי באפיק ARINC 429 כדי להקשות על מתקפות השתלטות על האפיק
• הוספת אימות קריפטוגרפי להודעות ARINC 429
• הטמעת איחוד חיישנים (sensor fusion) ובדיקות צולבות (cross-checking) כך שסתירות בין פרמטרי טיסה יתגלו על ידי מערכות יתירות
• שיפור ההתראות בתא הטייס כך שהטייסים יקבלו הודעה על אי-התאמות בין נתוני ה-FMC לנתוני התצוגה

החוקרים הדגישו כי ממצאיהם אינם מחייבים קרקוע של צי המטוסים, אלא קריאה לשיפורים מעשיים ומיידיים באבטחה הפיזית ובשלמות אפיקי האוויוניקה .